회사 문서를 외부 온라인 도구로 처리해도 되는지 판단하는 기준

급하게 합쳐야 하는 계약서 앞에서 손이 멈춘다면 정상입니다. 먼저 답을 말하면, 회사 문서는 내용의 민감도와 회사의 보안 규정부터 보고 도구를 고릅니다. 도구의 편의가 아니라 문서의 성격이 먼저입니다.

이 글은 담당자가 실제로 판단할 수 있는 기준을 줍니다. 추상적인 주의가 아니라 순서대로 확인할 항목입니다.

회사 문서 판단의 출발점

출발점은 두 가지입니다. 첫째, 이 문서에 무엇이 들어 있는가. 개인정보, 영업 비밀, 계약 조건, 금액 같은 민감한 내용이 있는지 봅니다. 둘째, 회사의 보안 규정이 외부 도구 사용을 어떻게 정하고 있는지 봅니다.

민감한 내용이 없고 규정에도 문제가 없으면 일반적인 기준으로 고르면 됩니다. 둘 중 하나라도 걸리면 엄격한 기준으로 넘어갑니다. 출발점을 건너뛰고 도구부터 고르는 것이 가장 흔한 실수입니다.

외부에 맡기면 안 되는 문서의 조건

다음 중 하나라도 해당하면 서버 전송이 있는 도구는 쓰지 마세요. 주민등록번호나 계좌번호 같은 고유 식별 정보가 들어 있는 문서, 공개되지 않은 계약 조건이나 금액이 들어 있는 문서, 고객 명단이나 개인정보 목록이 들어 있는 문서, 회사가 외부 반출 금지로 정한 문서입니다.

이런 문서를 다룰 때는 브라우저 안에서 끝나는 방식을 고릅니다. 이 사이트의 PDF 편집기처럼 합치기와 나누기가 기기 안에서 끝나는 도구가 해당합니다. 그래도 결과물의 공유 단계는 별개로 판단해야 합니다. 도구가 안전해도 메일 발송과 공유 폴더 업로드는 다른 문제입니다.

담당자가 확인할 세 가지

첫째, 처리 위치입니다. 파일이 서버로 올라가는지, 브라우저 안에서 끝나는지 확인합니다. 이 글의 앞부분에서 다룬 확인 순서를 그대로 씁니다.

둘째, 보관 정책입니다. 서버 처리가 필요하다면 그 서비스가 파일을 얼마나 보관하고, 삭제를 요청할 수 있는지 읽습니다. 보관 기간이 적혀 있지 않으면 쓰지 않는 편이 낫습니다.

셋째, 접근 범위입니다. 업로드한 파일을 누가 볼 수 있는지 봅니다. 암호화 저장, 접근 로그, 담당자 제한 같은 항목이 있는지 확인합니다. 세 가지가 모두 분명해야 다음 단계로 갑니다.

판단 결과를 정리한 표

표는 최소 기준입니다. 회사의 규정이 더 엄격하면 규정을 따릅니다. 표보다 규정이 항상 위입니다.

판단 기준을 문서로 남기는 방법

판단이 끝났다면 기준을 문서로 남기세요. 어떤 종류의 문서는 어떤 방식으로 처리한다는 한 장이면 충분합니다. 다음에 같은 상황이 오면 다시 고민하지 않아도 됩니다.

문서에는 판단 근거도 함께 적습니다. 처리 위치 확인 결과, 보관 정책의 핵심, 접근 범위 요약을 남기면 나중에 규정이 바뀌었을 때 어디를 고쳐야 할지 알 수 있습니다. 개인의 판단이 팀의 기준이 되는 과정입니다.

외부 도구를 쓸 때 남기는 기록

외부 도구를 썼다면 사용 기록을 남기세요. 나중에 문제가 생겼을 때 "언제, 무엇을, 어디서 처리했는지"가 감사 자료가 됩니다. 기록에는 날짜, 도구 이름과 주소, 다룬 파일의 범위, 처리 방식을 적습니다.

예를 들면 "9월 21일, PDF 편집기, 계약서 3건 합치기, 브라우저 처리"처럼 한 줄이면 충분합니다. 파일 자체를 기록하는 것이 아니라 처리 사실만 적습니다. 파일 내용을 옮겨 적으면 기록 자체가 새로운 유출 경로가 되므로 절대 하지 마세요.

기록은 주기적으로 검토합니다. 같은 종류의 작업이 반복되면 내부 도구 도입을 검토할 근거가 되고, 한 번뿐인 작업이면 기록이 곧 종료 보고서가 됩니다. 쓴 기록은 보안 담당자와 공유해 판단이 맞았는지 확인받으세요.

기록을 남길 때 주의할 것도 있습니다. 파일명을 그대로 적으면 파일명에서 내용이 드러날 수 있으므로, "계약서 3건"처럼 범위만 적습니다. 담당자 이름이나 부서 같은 불필요한 정보도 빼세요. 기록은 처리 사실만 담을 때 가장 안전합니다. 이 원칙을 지키면 기록이 쌓여도 새로운 위험이 생기지 않습니다.